dsh-fleet-audit：給 DSH agent 機器做一次只讀的憑據衛生審計

## 前言 多 agent 時代的開發機上，憑據散落在 `~/.gitconfig`、agent 配置、`.git/config` 和各種 `.env` 裏。git 的 `url.*.insteadof` 或 `pushurl` 一旦嵌了 token（例如 `https://oauth2:<token>@gitlab.example.com/...`），任何一次 `git remote -v` 都會把密鑰打印進日誌、對話或 CI。 以往的做法是手工逐個檢查文件權限、grep 一遍 remote 配置，費時且容易漏。dsh-fleet-audit 把這件事